Un fallo en una capa compartida
Dos vulnerabilidades críticas de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas como PHP2Shell, llevaron a operadores de sitios a corregir sistemas con urgencia. La alerta de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) explica que los fallos pueden permitir ejecución remota de código sin autenticación en instalaciones de PHP que atienden solicitudes web. CISA añadió ambos identificadores a su catálogo de vulnerabilidades explotadas (KEV) el 26 de octubre.
PHP es el lenguaje que permite a un servidor preparar páginas dinámicas. Se utiliza en una parte amplia de la web y forma parte de sistemas de administración de contenido y aplicaciones populares. Por eso, un defecto en el intérprete puede importar aunque la persona encargada del sitio no haya escrito código PHP directamente: el servicio de alojamiento, una plataforma o una aplicación de terceros podría ser quien lo ejecuta.
Reuters informó que investigadores de Calif y Wiz utilizaron herramientas de inteligencia artificial durante el descubrimiento de estos fallos y que el ritmo de análisis está acortando el tiempo disponible para defenderse. No significa que la IA haya actuado sola. Los equipos de investigación describieron herramientas y modelos concretos dentro de un proceso de trabajo coordinado con el equipo de PHP; los desarrolladores publicaron correcciones después de recibir el reporte.
Qué significa que el fallo pueda explotarse
Una vulnerabilidad es una debilidad técnica. La ejecución remota de código sin autenticación significa que, bajo condiciones vulnerables, un atacante podría conseguir que un servidor ejecute instrucciones sin iniciar sesión primero. La gravedad potencial explica la urgencia, pero no permite afirmar que cada instalación haya sido atacada ni que todos los intentos observados hayan tenido éxito.
Reuters reportó intentos contra sistemas señuelo y actividad de varios actores tras la divulgación pública. Amazon dijo que no podía confirmar si todos esos intentos hubieran funcionado contra sitios reales. CISA, por su parte, incluye los identificadores en KEV, un catálogo que ayuda a priorizar vulnerabilidades que requieren atención. Es importante no mezclar tres hechos diferentes: que exista el fallo, que se hayan visto intentos y que una organización haya confirmado una intrusión.
La IA puede ayudar a analizar grandes bases de código y reducir el esfuerzo de encontrar defectos difíciles. El mismo avance puede facilitar que los defensores localicen errores antes, pero también puede reducir el tiempo que los atacantes necesitan para investigar un parche o preparar una prueba de explotación. La conclusión práctica no es que cada web esté comprometida, sino que los equipos de seguridad deben estar preparados para ciclos de actualización más rápidos.
Qué pide CISA a los operadores
La agencia pide identificar todos los sistemas que ejecutan PHP, incluso cuando forma parte de un producto o dependencia, y aplicar cuanto antes las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Los servicios accesibles desde internet deben tener prioridad. Si una instalación utiliza una versión sin soporte o no puede actualizarse de inmediato, CISA indica que debe retirarse temporalmente de línea hasta que pueda corregirse.
Para una empresa que no administra sus servidores, el primer paso es contactar al proveedor de alojamiento o al equipo técnico. Conviene pedir respuestas concretas: qué sitios y aplicaciones usan PHP, qué versión ejecutan, si ya recibieron el parche, cuándo se verificó y qué plan existe para los sistemas que ya no tienen soporte. Si un proveedor gestiona varios sitios, la revisión debe cubrir cada entorno, no solo la página principal.
Una actualización también debe comprobarse. El administrador debe confirmar que se instaló la versión adecuada para ese sistema, que los servicios se reiniciaron cuando corresponde y que las aplicaciones siguen funcionando. Si hubo actividad sospechosa, se debe conservar la evidencia y seguir el procedimiento de respuesta del equipo de seguridad, en lugar de borrar registros de manera apresurada.
Menos tiempo para responder, no más pánico
La historia de PHP2Shell reúne dos lecciones. Primero, una dependencia técnica compartida puede hacer que un problema afecte a muchos sitios y proveedores al mismo tiempo. Segundo, los avances de IA pueden acelerar el análisis y exigir mejores procesos de inventario, comunicación y parcheo. Un plan claro con el alojamiento y una lista actualizada de sistemas expuestos suele ser más útil que buscar una solución improvisada en redes sociales.
Para pymes que están revisando cómo incorporar herramientas digitales con responsabilidad, Jarvis RD publica más recursos sobre tecnología y automatización en su blog. La seguridad de una herramienta no depende solo de la tecnología: también depende de saber quién la mantiene, cómo se corrige y quién confirma los cambios.
**Fuentes:** CISA — alerta PHP2Shell, revisada el 26 de octubre de 2026; Reuters — sitios y parches de PHP, 21 de octubre de 2026; Reuters — IA y nuevos fallos de software, 23 de octubre de 2026.